Los Países Bajos han sido demandados por la Comisión Europea. La razón: el gobierno aún no ha convertido la directiva para la protección de sectores vitales como la energía, el transporte, la salud y la infraestructura digital en legislación nacional. El Ministerio de Justicia y Seguridad responde que “primero se necesita una buena base”. Esa respuesta merece una mirada más cercana.

El marco de estándares de seguridad de la información en el que se basa, ISO 27001, existe en la forma de sus predecesores desde los años 90. La directiva europea lleva años sobre la mesa. Además, la legislación comienza en Bruselas y los Países Bajos son miembros y pueden simplemente participar, no sólo una vez que el texto esté definitivo. Una fundación podría y debería haber existido hace mucho tiempo. ¿Cuánto tiempo más quiere el gobierno?

El gabinete no tiene sus propias joyas de la corona.

Durante el debate sobre la adquisición de Solvinity, el gabinete pareció incapaz de indicar cuáles son las joyas de la corona del gobierno central. Esa lista aún se está elaborando. Al mismo tiempo, el mismo gobierno pide ahora a organizaciones vitales que se armen contra las amenazas. Una secuencia notable: primero animar a los demás, luego hacer un inventario de lo que es necesario proteger.

La práctica es ahora desconcertante. Las autoridades fiscales no pueden ordenar su propio correo electrónico y tienen que subcontratarlo. Instalaciones críticas como DigiD y Message Box no se pueden mover en unos meses. Los incidentes en el Ministerio Público, el Ministerio de Finanzas, Odido, Rituals y la Encuesta de Población de los Países Bajos expusieron repetidamente la vulnerabilidad.

“Otros países también se están quedando atrás”

El portavoz subraya al Telegraaf que Países Bajos no está solo: Bulgaria, Francia, Luxemburgo, Polonia, España y Suecia también han sido convocados. Ese es el argumento del automovilista que señala a otros conductores que también recibieron multas. Esto no cambia el hecho de que países como Grecia, Italia, Croacia, Chipre, Hungría, Malta, Rumanía, Eslovenia y Eslovaquia hayan introducido la directiva. Estamos a la zaga de países que a La Haya le gustaría emular y de países que preferiría no emular.

No es complejo, es cuestión de voluntad

El gobierno califica el proceso de “extenso y complejo”. Pero lo esencial es conocido: atenerse a las normas, comenzar la implementación tan pronto como Bruselas determine la dirección y garantizar que los procesos vitales puedan resistir el fracaso. Y lo que se pregunta son los fundamentos de la seguridad de la información y no son nada nuevos. Esa no es una experiencia especial. Ése es un trabajo manual administrativo. O, en términos de Rotterdam: no hables, sólo pule.

Mientras tanto, la amenaza no es abstracta. El MIVD, el AIVD, el NCTV y los servicios de inteligencia extranjeros advierten continuamente contra ciberataques, sabotajes y espionaje por parte de Rusia, China e Irán. El director del MIVD habla de acciones que quedan justo por debajo del umbral de un conflicto militar abierto. El gabinete lo oye, asiente y se refiere a la siguiente fundación.

¿Y qué?

Dos propuestas son obvias. Hacer que el gobierno informe mensualmente a la Cámara de Representantes sobre lo que se ha hecho, lo que está en progreso y lo que sucederá en el próximo mes para garantizar que la seguridad y la resiliencia de la información estén en orden. En concreto, a nivel organizativo, con plazos. Y: dejar en suspenso las nuevas ambiciones políticas hasta que la privacidad, la seguridad de la información y las obligaciones europeas estén realmente en orden. Quien no tiene su casa cerrada con llave no compra muebles nuevos.

Una demanda de la Comisión Europea debería ser una llamada de atención. Cuando se trata de resiliencia, somos fanáticos del agua de rosas. Por el momento, parece que se trata principalmente de una nueva regla del expediente sobre la que el gabinete está redactando. La factura de esto no se pagará en La Haya, sino durante el primer gran fracaso de un sector vital.

Este artículo apareció anteriormente Conexión AG.